A segurança por trás da conversão

Download E-mail Enviar Por muito tempo, segurança digital foi sinônimo de custo, contenção e, muitas vezes, atrito. É o campo responsável por bloquear ameaças, garantir compliance, reduzir perdas. Necessário, mas nem sempre visto como um diferencial na geração de valor. Esse papel, no entanto, vem mudando. Com jornadas digitais cada vez mais rápidas, fraudes mais sofisticadas e a Inteligência Artificial ganhando espaço em processos de autenticação, análise de risco e tomada de decisão, o tema passa a ocupar também um lugar estratégico para o relacionamento com o cliente e para a sustentação do negócio. Nesse novo cenário, proteger já não significa somente bloquear ameaças. Significa também reconhecer quem está do outro lado da tela, reduzir atritos para usuários legítimos e criar um ambiente em que a credibilidade pese na decisão de compra. Com isso, a segurança ganha uma função mais ampla, que combina contenção de riscos com a capacidade de influenciar a forma como a empresa constrói relacionamento, experiência e valor. Essa virada também reposiciona o tema dentro da própria organização. Um novo diferencial no negócio Com a digitalização acelerada e ameaças cada vez mais automatizadas, o que antes funcionava como barreira no processo de compra começa a ganhar outro significado. Ela passa a influenciar a experiência, a conversão e a continuidade da relação com o cliente. Essa mudança tem impacto direto na percepção de marca. O usuário pode não enxergar todos os mecanismos que sustentam uma operação segura, mas percebe quando uma empresa transmite credibilidade suficiente para movimentar dinheiro ou manter uma relação recorrente. O ponto, portanto, não é apenas proteger nos bastidores, mas fazer com que esse cuidado também seja percebido. É essa lógica que começa a aparecer na fala de executivos do setor. Quando a empresa consegue mostrar que cuida do cliente sem tornar o processo invasivo, a proteção deixa de ser só uma camada técnica e passa a reforçar a imagem da companhia. Como observa Ricardo Leocádio, CISO do Mercantil, vale a analogia com a Apple: “Ninguém escolhe a marca dizendo que ela é rápida, mas por associá-la a um ambiente seguro”. O mesmo raciocínio se aplica aos bancos, já que, segundo ele, o cliente escolhe a instituição por se sentir seguro, e não apenas pela oferta de crédito. Para o executivo, tornar esse cuidado perceptível é parte do trabalho. O banco deveria, por exemplo, avisar quando uma senha vazou na Internet ou quando há um problema com o chip na operadora. Esse movimento, no entanto, esbarra em um obstáculo histórico: a percepção de que, para ter segurança, o cliente precisa abrir mão de privacidade. Romper essa lógica é justamente o que reposiciona a proteção como diferencial. Leocádio defende que esse olhar vá além da autenticação ou da identificação de dispositivo, em direção a um verdadeiro “score de persona”. A premissa é que o risco não é estático: o cliente pode amanhecer saudável e, ao meio-dia, tornar-se um risco, por exemplo, quando seu e-mail aparece em um vazamento, do tipo mapeado por serviços de verificação como o Have I Been Pwned. Existe, portanto, todo um ecossistema de risco que não se liga apenas à autenticação ou ao reconhecimento de dispositivo. O equilíbrio entre segurança invisível e confiança percebida Se a segurança passa a influenciar a percepção de marca e o desempenho do negócio, o passo seguinte é entender como ela aparece na jornada. O desafio está em proteger o cliente sem transformar a experiência em algo difícil, invasivo ou desconfortável. Afinal, uma camada de proteção muito visível pode gerar atrito, mas algo totalmente imperceptível também deixa de ser percebido como valor. É nesse ponto que surge a necessidade de equilibrar validações silenciosas com uma comunicação clara de que o usuário está sendo amparado. O cliente não precisa enxergar todos os mecanismos de antifraude que operam durante uma transação, mas precisa sentir que está em um espaço confiável. Como sintetiza Rafael Álvares, executive Tech manager do Inter: “É muito importante ter o invisível, conseguir fazer o máximo de autenticação possível por trás, mas também é importante que o cliente saiba que isso está acontecendo, de uma forma que não seja invasiva para ele”. Esse ponto leva a um dilema sobre privacidade. De um lado, o usuário quer estar protegido e espera que a empresa consiga antecipar riscos. De outro, não quer sentir que precisa fornecer informações demais para ter uma experiência segura. Segundo uma pesquisa do Pew Research Center, chamada “How Americans View Data Privacy” (2023), 61% dos estadunidenses consideram políticas de privacidade ineficazes para explicar como organizações usam dados pessoais, enquanto 69% veem esses documentos como algo que precisam apenas atravessar para acessar um serviço. Embora trate do mercado dos Estados Unidos, o levantamento aponta para uma preocupação mais ampla sobre transparência e uso de dados. E, diante disso, cabe às empresas entregar uma proteção personalizada sem parecer intrusivas, deixando claro por que determinadas informações são solicitadas e como elas contribuem para reconhecer riscos, validar identidades e tornar o acesso mais seguro. No fim, a solução está em encontrar a harmonia. Proteger sem pesar na experiência, comunicar sem gerar medo e usar dados sem romper a confiança que sustenta a relação. Esse ganho de fluidez ajuda a explicar por que o momento atual é tão propício para tornar o crescimento sem fricção algo tangível. Ricardo Leocádio recorre a uma analogia histórica para reforçar o ponto. Ele lembra que a transmissão sem-fio idealizada por Graham Bell esteve cerca de 118 anos à frente de seu tempo, para então afirmar que 2026 reúne as condições tecnológicas que faltavam: “O melhor momento é o agora”. Ele pondera que não existe negócio financeiro sem perda, mas há uma perda tolerável, e é justamente para reduzir esse percentual que entram empresas como a Unico. O contraponto é que o atacante acorda todos os dias com criatividade renovada para furar o processo, o que exige que o tempo de reação, hoje potencializado por IA, seja muito mais rápido. Como exemplo de evolução já incorporada ao cotidiano, ele cita a entrada em estádios por reconhecimento biométrico. Comprar ou construir tecnologia de segurança? Se segurança e prevenção à fraude passam a ter um impacto tão direto na experiência do consumidor e no negócio, surge uma decisão importante para a maioria das empresas: é melhor construir internamente as tecnologias de proteção ou contratar plataformas que sejam especializadas? A resposta não é única e depende de vários fatores, como contexto, escala, capacidade técnica e, principalmente, o quanto aquela tecnologia faz parte do core business da companhia. Bruno Fonseca, CTO da Unico, explica que criar soluções próprias faz sentido quando proteção e validação de identidade estão diretamente conectadas à proposta de valor da organização. Isso acontece em negócios nos quais recursos como biometria, autenticação e prevenção à fraude não funcionam apenas como suporte operacional, mas como parte central do produto. Na própria Unico, por exemplo, uma empresa de verificação de identidade, capacidades como prova de vida (liveness) são elementos centrais da sua atuação. Por isso, segundo o executivo, a companhia mantém o desenvolvimento dessas frentes internamente. Fora desses casos, confiar em parceiros especializados acaba sendo um caminho mais eficiente. Uma escolha que ganha força em um cenário de segurança cada vez mais complexo. Segundo o relatório “Global Cybersecurity Outlook 2025”, publicado pelo Fórum Econômico Mundial, duas em cada três organizações relatam lacunas moderadas ou críticas de talentos em cibersegurança. O dado ajuda a explicar por que muitas empresas recorrem a esse tipo de parceria. Mais do que terceirizar tecnologia, trata-se de acessar competências difíceis de manter internamente. A lógica é concentrar esforços no que diferencia a companhia, enquanto demandas mais específicas ficam a cargo de quem já tem domínio, escala e experiência na área. No fim, a escolha entre comprar ou construir não precisa ser tratada como uma oposição absoluta. O caminho mais consistente tende a ser uma combinação: desenvolver internamente aquilo que é estratégico para o negócio e contar com parceiros de confiança para as camadas que exigem especialização, atualização constante e capacidade de operar em escala. Da automação à supervisão: o novo papel da IA na proteção Depois de entender se uma determinada empresa vai construir ou contratar essas tecnologias de segurança, o próximo passo passa pela otimização dessa infraestrutura, tornando-a mais rápida, inteligente e escalável. É nesse ponto que a IA entra com aplicações concretas, como machine learning para risco transacional, agentes para backoffice, LLMs para análise documental, monitoria de atendimento, biometria, deepfake, counter abuse e produtividade interna. No Banco Inter, por exemplo, a IA é usada como uma ferramenta de decisão em tempo real para transações via Pix, em um contexto no qual o cliente espera rapidez e instantaneidade para concluir o pagamento. Segundo Henricck Roffre, gerente de Prevenção à Fraude do Inter, a empresa utiliza modelos de machine learning na avaliação de ameaças para decidir, em poucos segundos, o andamento de cada operação. Ao mesmo tempo, o uso de IA generativa ainda exige cautela em processos críticos. A tecnologia pode aumentar eficiência, acelerar análises e reduzir tarefas manuais, mas não pode ser uma substituta plena da decisão humana. Em áreas de maior risco financeiro ou operacional, o papel das equipes passa a ser menos o de executar tudo manualmente e mais o de supervisionar processos, validar resultados e zelar pela qualidade das decisões, garantindo que estejam alinhadas aos critérios definidos pela instituição. A identidade digital no futuro das jornadas automatizadas Se a IA já começa a apoiar decisões, acelerar análises e tornar operações mais eficientes, o próximo desafio está em entender o que acontece quando esses agentes passam a agir em nome das pessoas. Segundo Bruno Fonseca, da Unico, cada vez mais “vamos ver software tendo controle do browser”, ou seja, agentes capazes de navegar por interfaces digitais, preencher informações, executar comandos e concluir tarefas que hoje dependem de uma ação direta de pessoas. Essa mudança desloca o papel da identidade digital. Ela deixa de responder apenas à pergunta sobre quem é o usuário e passa a ter a função de comprovar se determinada ação foi, de fato, iniciada, autorizada ou delegada por um humano. Uma discussão publicada pelo MIT News, em 2024, ajuda a ampliar essa reflexão. O texto “3 Questions: How to prove humanity online”, de Adam Zewe, apresenta o conceito de personhood credentials, ou credenciais de humanidade, um mecanismo para que alguém possa provar ser uma pessoa real na Internet sem expor dados sensíveis. A proposta ganha relevância à medida que agentes de IA se tornam mais capazes de interagir online, tornando menos evidente a distinção entre ações humanas e automatizadas. Logo, o desafio da verificação deixa de ser apenas confirmar quem é o usuário e passa a envolver também a comprovação de humanidade, autorização e privacidade. Essa questão ganha uma dimensão prática quando se olha para o e-commerce e para o avanço dos pagamentos invisíveis. A lógica, nesse contexto, é semelhante: o fluxo de compra caminha para reduzir a intervenção direta do usuário. O cliente não quer enxergar toda a cadeia técnica por trás de uma compra, seja o cartão, a autenticação, a validação, a autorização ou a prevenção à fraude. Ele espera apenas que a transação aconteça de forma fluida e confiável. Quanto menos visível se torna esse processo, mais importante passa a ser a solidez da infraestrutura que o sustenta. É nesse ponto que agentes de IA e pagamentos invisíveis se encontram. Nos dois casos, parte da ação deixa de depender de um comando manual e visível do usuário, mas ainda precisa estar vinculada a uma autorização humana. Se uma compra pode ser iniciada por um agente, aprovada por uma carteira digital e validada por diferentes sistemas, a identidade digital precisa atestar a origem, a autorização e o contexto por trás de cada operação. O desafio, portanto, não será apenas bloquear fraudes, mas permitir que fluxos cada vez mais automatizados continuem acontecendo com segurança e credibilidade. Quando a revalidação aprende com o contexto A segurança invisível, a validação silenciosa e os pagamentos que pedem cada vez menos do usuário apontam todos para o mesmo lugar: proteger sem pesar na experiência. Chegar a esse equilíbrio, porém, sempre envolveu um dilema. Aplicar um desafio biométrico a cada evento é eficaz, mas nem sempre o nível de fricção combina com fluxos posteriores ao onboarding, como um login, uma alteração cadastral ou a autorização de um novo dispositivo. Já as alternativas de menor atrito raramente ofereciam a mesma certeza, e ainda obrigavam as empresas a costurarem uma colcha de retalhos entre senhas, tokens, chaves de dispositivo e atendimento. Um caminho efetivo para equilibrar segurança e experiência é evitar que todo evento seja submetido ao mesmo tipo de desafio. A lógica é avaliar o contexto de cada transação, combinar sinais de identidade e comportamento e, a partir disso, direcionar o usuário para o método de menor fricção possível. Esse raciocínio dialoga com um movimento mais amplo do mercado para reduzir atritos em autenticação. Segundo o Passkey Index 2025, levantamento da FIDO Alliance com dados agregados de empresas que já implementaram passkeys, acessos realizados com esse método reduziram em 73% o tempo de login em comparação com outros meios e alcançaram taxa de sucesso de 93%. Na Revalidação Inteligente, a Unico aplica essa busca por menor fricção dentro de uma lógica contextual, considerando mais de 40 sinais de identidade e comportamento, além do histórico do usuário na rede, para definir a validação mais adequada ao nível de risco de cada evento. O que sustenta essa inteligência é o lastro da rede e a capacidade de combinar diferentes sinais de identidade ao longo da jornada. Em vez de depender apenas de um desafio explícito, a Revalidação Inteligente usa o histórico do usuário e o contexto da transação para indicar quando a validação pode ocorrer de forma silenciosa e quando é necessário acionar camadas adicionais. Na prática, isso permite que fluxos de alta recorrência sejam aprovados com menos fricção, enquanto eventos mais sensíveis, como exigências regulatórias ou transações de maior valor, continuam podendo recorrer à biometria facial como camada de segurança mais robusta. O motor também pode ser calibrado de acordo com o apetite de risco de cada operação, entre um modo mais conservador e outro mais voltado à experiência. No fundo, é o caminho que a companhia encontrou para manter a proteção nos bastidores e tornar a jornada mais leve na ponta, sem tratar todos os eventos como se tivessem o mesmo nível de risco. O post A segurança por trás da conversão apareceu primeiro em MIT Technology Review - Brasil.